Zusammenfassung

  • Let’s Encrypt kündigte am 15. Oktober zwei zusätzliche entfernte Prüfstandorte an: sechs statt vier, zusammen mit dem Hauptstandort sieben Validierungsanfragen. Am 27. Oktober bestätigte der Betreiber sechs entfernte Perspektiven in der Testumgebung.
  • Die geltende Quorumstabelle des CA/Browser Forum erlaubt bei zwei bis fünf entfernten Perspektiven eine fehlende Bestätigung, ab sechs zwei. Positive Bestätigungen müssen mindestens zwei RIR-Dienstregionen abdecken. Der Produktionsstart ist für den 10. November vorgesehen und hängt vom Test ab.

Die Antwort auf dem Bildschirm ist erst der Anfang

Ein Websitebetreiber legt die geforderte Antwort für seine Domain bereit. Von seinem Büro aus funktioniert der Abruf. Die Zertifizierungsstelle muss eine andere Frage beantworten: Sehen voneinander unabhängige Netze dieselbe Antwort? Wer eine BGP-Route umleitet, kann einen einzelnen Validator an einen falschen Endpunkt führen. Ein daraus ausgestelltes Zertifikat würde später von Browsern geprüft, ohne dass diese den Weg der ursprünglichen Validierungsanfrage kennen. Die Netzroute ist deshalb Teil der Beweisführung.

Bei der Multi-Perspective Issuance Corroboration trifft eine primäre Netzperspektive die Feststellung über Domainkontrolle oder CAA-Berechtigung, entfernte Perspektiven gleichen sie ab. Die Mitteilung von Let’s Encrypt vom 15. Oktober sieht den Ausbau von vier auf sechs entfernte Standorte vor. Am 27. Oktober meldete der Betreiber im selben Faden, dass die Testumgebung sechs verwendet. Für den 10. November ist der Produktivbetrieb geplant, sofern der Test gelingt. Eine Bestätigung des Produktivwechsels enthält der geprüfte Faden noch nicht.

Die Baseline Requirements des CA/Browser Forum schreiben seit dem 15. Juni 2026 für die betroffenen Prüfungen mindestens vier entfernte Perspektiven vor; ab dem 15. Dezember sind es fünf. Die entfernten Standorte, die das Ergebnis des Hauptstandorts bestätigen, müssen in mindestens zwei verschiedenen RIR-Dienstregionen liegen. Ein weltweites Standortbild auf einer Präsentationsfolie reicht dafür nicht. Entscheidend ist, aus welchen Regionen die tatsächlich bestätigenden Antworten kommen.

Warum ausgerechnet sechs?

Die Quorumstabelle beantwortet das ohne Marketing. Bei zwei bis fünf verschiedenen entfernten Perspektiven ist eine fehlende Bestätigung erlaubt. Ab sechs sind es zwei. Wenn bei sechs Standorten vier die primäre Feststellung bestätigen und zwei nicht, kann das Quorum unter den weiteren Bedingungen erreicht sein. Bei fünf Standorten wären ebenfalls vier positive Antworten nötig, aber nur eine Abweichung möglich. Der zusätzliche Beobachter schafft Spielraum für eine zweite abweichende oder ausbleibende Antwort. Er senkt in diesem Vergleich die Zahl der nötigen positiven Antworten nicht.

Die Standorte müssen auch unabhängig sein. Zwei Netzperspektiven gelten nach den Anforderungen als verschieden, wenn mindestens 500 Kilometer Luftlinie zwischen ihnen liegen; die entfernten Perspektiven müssen außerdem vom Hauptstandort und voneinander im Quorum getrennt sein. Verwendet eine Zertifizierungsstelle verschiedene Gruppen für Domainkontrolle und CAA, muss jede Gruppe ihr eigenes Quorum erfüllen. Mehrere Validatoren dürfen sich kein gemeinsames DNS-Cache-Ergebnis als unabhängige Beobachtung anrechnen. Ein sofortiger neuer Versuch ist möglich, sogar mit einer anderen Prüfmethode.

Bestätigungen aus dem vorigen Versuch werden dabei nicht übernommen. Aus drei unvollständigen Abstimmungen lässt sich keine vollständige zusammensetzen.

Der frühere Betriebsfaden bestätigt vier entfernte Perspektiven in der Produktion seit dem 27. März 2024. Der neue Faden bestätigt den nächsten Schritt bislang nur im Test. Let’s Encrypt begründet den Ausbau mit besserem Schutz gegen BGP-Umleitungen. Die Norm beschreibt den Mechanismus: Ein manipuliertes Netzbild soll nicht genügen, wenn unabhängige Beobachter samt Zwei-Regionen-Bedingung widersprechen. Eine gemessene Erfolgs- oder Ausfallquote für die neue Anordnung wurde in der geprüften Mitteilung nicht veröffentlicht.

Eine Ablehnung braucht eine präzise Ursache

Scheitert das Quorum oder die regionale Bedingung, darf die Zertifizierungsstelle laut Regel kein Zertifikat ausstellen. Für eine automatisch erneuerte Website kann das den Unterschied zwischen laufendem Betrieb und einem Fehler im Verlängerungsfenster bedeuten. Der Administrator sieht die Challenge-Antwort lokal, ein entfernter Standort erreicht sie womöglich nicht. War die Antwort falsch, der Pfad blockiert, CAA prohibitiv oder das regionale Quorum nicht erfüllt? Diese Fälle verlangen unterschiedliche Reparaturen.

Die Regeln gestatten eine neue Prüfung, verlangen dafür aber neue Bestätigungen. Eine zweite Runde darf ein vorübergehendes Netzproblem überwinden. Sie darf keine alten Ja-Stimmen retten und mit späteren Stimmen vermischen. Der Aussteller muss deshalb den tatsächlichen Fehler klassifizieren und die neue Runde als neue Entscheidung behandeln. Eine pauschale Meldung „Validierung fehlgeschlagen“ nimmt dem Betreiber die Möglichkeit, zielgerichtet zu handeln.

Im öffentlich geprüften Oktoberfaden fehlen Zahlen zu Testausfällen, Laufzeiten und blockierten Verlängerungen. Die nächste belastbare Tatsache wäre eine datierte Meldung, dass sechs entfernte Perspektiven wirklich in der Produktion laufen. Danach könnten zusammengefasste Ablehnungsgründe zeigen, ob der sechste Zeuge die gewünschte Reserve bringt.

Das CA/Browser Forum schreibt die Zählregel. Let’s Encrypt wählt und betreibt die Beobachter. Der Antragsteller trägt die Folgen einer Ablehnung. Das Zertifikat ist das Ergebnis; die Verteilung der Entscheidungsgewalt liegt im Quorum davor.